Virus.VBS.Hard

Teknik detaylar

Bu, Visual Basic Script dilinde (VBS) yazılmış bir İnternet solucanıdır. MS Outlook Express kullanarak yayılır.

Bu solucan, virüslü bilgisayarlardan virüslü mesajlar göndererek e-posta yoluyla yayılır. Yayılırken, solucan MS Outlook Express kullanıyor ve kendini Windows Adres Defterinde kayıtlı tüm adreslere gönderir. Sonuç olarak, virüslü bir bilgisayar, Windows Adres Defterinde saklanan birçok adrese çok sayıda ileti gönderir.

Yalnızca Windows Komut Dosyası Sunucusu'nun (WSH) yüklü olduğu bilgisayarlarda çalışır. Windows 98 ve Windows 2000'de, WHS varsayılan olarak yüklenir.

Solucan bir bilgisayara bir e-posta mesajı olarak ekli dosyanın "www.symantec.com.vbs" isimli eki ile geliyor.

Orijinal solucan sürümündeki virüslü mesaj şunları içerir:

Subject = "FW: Symantec Anti-Virüs Uyarısı"
Vücut = —– Orijinal Mesaj —–
Gönderen: [warning@symantec.com]
Kime: [supervisor@av.net]; [Security@softtools.com];
[Mark_fyston@storess.net]; [Directorcut@ufp.com];
[Pjeterov@goldenhit.org>; [Kim_di_yung@freeland.ch];
[James.heart@macrosoft.com]
Konu: FW: Symantec Anti-Virüs Uyarısı

Merhaba,
Net'de yeni bir solucan var.
Bu solucan çok hızlı yayılıyor ve çok tehlikeli!

Symantec ilk önce 04 Nisan 2001'de fark etti.

Ekli dosya, solucanın bir açıklaması ve kendini nasıl kopyaladığıdır.

Saygılarımla,
F. Jones
Symantec kıdemli geliştiricisi

Aktivasyon üzerine, solucan varolan virüs "VBS.AmericanHistoryX_II@mm" hakkında sahte bir Symantec virüsü bilgi sayfası oluşturur ve görüntüler. Sonra yaymak için daha sonra kullanılan birkaç dosya oluşturur.

İlk dosya, MS Outlook Express'in Windows Adres Defteri'ndeki tüm adreslere virüslü iletileri göndermesini söyleyen Visual Basic Komut Dosyası içeren "c: www.symantec_send.vbs" olarak adlandırılır.

İkinci dosya "c: message.vbs", 24 Kasım'da aşağıdaki iletiyi görüntüleyen Visual Basic Komut Dosyası'nı içerir:

Bazı şok edici haberler
Şaşırmış görünme!
Aptallığınız hakkında sadece bir uyarı
Kendine iyi bak!

Bu dosyaların her ikisi de otomatik çalıştırma bölümünde sistem kayıt defterindeki solucan tarafından kaydedilir. Böylece, bu komut dosyaları her Windows başlangıcında kontrol kazanır.

Solucan ayrıca Internet Explorer'ın başlangıç ​​sayfası olarak sahte virüs bilgi sayfasını kaydeder.

Aynı makineden çift yayılmayı önlemek için, solucan sistem kayıt defteri anahtarında "HKLMSOFTWAREMicrosoftWABOE Bitti" oluşturur ve değerini "Hardhead_SatanikChild" olarak ayarlar. Bu sayede aynı makineden iki kez yayılmaz.